💻 computer science

Enabling Threshold Custody for the Lightning Network with Nested Threshold Multi-Signatures

이 논문은 비트코인 라이트닝 네트워크 채널의 한쪽 측이 기본 프로토콜, 비트코인, 또는 상대방에 대한 어떠한 수정도 요구하지 않으면서 높은 결제 처리량을 유지하는 동시에 안전한 $t$ -of- $n$ 임계값 그룹으로서 작동할 수 있게 하는 중첩된 임계값 MuSig2 서명을 위한 새로운 암호학적 구조인 "Iceberg"를 소개한다.

원저자: Paul Gerhart, Nadav Kohen, Jesse Posner, Matias Furszyfer

게시일 2026-08-24

📖 5 분 읽기🧠 심층 분석

CC BY 4.0

원저자: Paul Gerhart, Nadav Kohen, Jesse Posner, Matias Furszyfer

원본 논문은 CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) 라이선스로 제공됩니다. ✨ 이것은 아래 논문에 대한 AI 생성 설명입니다. 저자가 작성하거나 승인한 것이 아닙니다. 기술적 정확성을 위해서는 원본 논문을 참조하세요. 전체 면책 조항 읽기

비트코인의 디지털 세계에서 돈은 두 개의 구별된 계층을 통해 이동합니다. 블록체인으로 알려진 메인 레이어는 거래가 영구적으로 기록되는 공개 장부입니다. 그 위에는 수천 건의 결제를 메인 장부를 복잡하게 만들지 않고도 초당 처리할 수 있도록 설계된 더 빠르고 사적인 시스템인 라이트닝 네트워크(Lightning Network)가 자리 잡고 있습니다. 이 시스템을 사용하려면 두 사람이 그들 사이에 사적인 채널을 열고, 양측의 승인이 있어야만 자금을 사용할 수 있는 특수한 디지털 잠금 장치 아래에 자금을 묶어둡니다. 이러한 설정은 수억 달러의 가치를 처리하며 주요 금융 기관들에게 필수적인 요소가 되었습니다. 그러나 네트워크의 시작부터 결정적인 약점이 지속되어 왔습니다. 바로 채널의 각 측에서 이 자금을 제어하는 디지털 키가 단 하나의 기기에 보관된다는 점입니다. 만약 그 하나의 기기가 도난당하거나, 해킹되거나, 단순히 분실된다면 자금은 영원히 사라집니다. 백업도, 복구도, 권한을 여러 사람이나 기기 간에 나눌 방법도 없습니다.

수년 동안 전문가들은 그 해결책이 "임계치 커스토디(threshold custody)"에 있다는 것을 알고 있었습니다. 이는 그룹의 사람들이 거래에 서명하기 위해 동의해야 하지만, 모든 구성원이 반드시 참석할 필요는 없는 방식입니다. 이는 메인 블록체인에서 거액을 보호하기 위한 표준적인 관행이지만, 라이트닝 네트워크에 적용하는 것은 불가능했습니다. 그 이유는 기술적 교착 상태 때문입니다. 라이트닝 네트워크는 잔액을 업데이트하기 위해 두 당사자 간의 특정하고 엄격한 핸드셰이크(handshake)를 요구하는데, 이 핸드셰이크는 한쪽 측이 자신이 사실은 사람들의 그룹임을 갑자기 드러내는 것을 허용하지 않습니다. 만약 한쪽 측이 그룹 키를 사용하려고 시도한다면 프로토콜이 깨지게 되며, 이는 상대방이 소프트웨어를 변경하게 하거나 네트워크 전체가 적응하도록 강요하게 됩니다. 이로 인해 라이트닝 네트워크는 나머지 금융 세계가 더 강력하고 분산된 보안을 향해 나아가는 동안, 취약한 단일 실패 지점에 의존하며 위험에 노출되어 왔습니다.

한 연구팀이 이제 '아이스버그(Iceberg)'라고 불리는 새로운 암호화 방법을 발명하여 이 문제를 해결했습니다. 그들의 연구는 라이트닝 채널의 한쪽 측이 상대방에게는 평범한 단일 사용자처럼 보이면서도, 실제로는 보안이 강화된 서명자 그룹으로서 작동할 수 있게 합니다. 마치 세 명의 관리자가 열어야 하는 은행 금고가 있지만, 외부 세계에는 한 명의 사람이 열쇠를 돌리는 것처럼 보이는 것과 같습니다. 연구진은 그룹의 내부 합의가 상대방에게 전송되는 메시지를 전혀 변경하지 않고 배후에서 투명하게 이루어지는 시스템을 구축함으로써 이를 달성했습니다. 그 결과, 비트코인 네트워크, 라이트닝 프로토콜, 또는 채널의 상대방이 사용하는 소프트웨어를 변경할 필요 없이 위험을 분산하고 완전한 손실을 방지하는 방법이 탄생했습니다.

이 혁신의 핵심은 그룹이 디지털 "논스(nonces)", 즉 서명을 생성하는 데 사용되는 난수를 처리하는 방식에 있습니다. 라이트닝 네트워크에서 이 숫자들은 구체적인 거래 내용이 알려지기도 전에 미리 합의되어야 합니다. 이는 독특한 과제를 안겨줍니다. 만약 숫자가 선택된 시점과 거래가 서명되는 시점 사이에 그룹 구성원이 변경되면, 서명이 실패하거나 보안이 취약해질 수 있기 때문입니다. 이를 해결하려는 이전의 시도들은 모든 구성원이 동시에 온라인 상태여야 했거나, 그룹의 내부 구조를 드러내야만 했습니다. 아이스버그 시스템은 '복제 비밀 공유(replicated secret sharing)'라는 기술을 사용하여 이 문제를 극복합니다. 이 설정에서 그룹의 모든 구성원은 비밀 키의 조각을 보유하지만, 이 조각들은 현재 누가 온라인 상태인지와 상관없이 소수의 과반수가 필요한 숫자를 재구성할 수 있도록 배치됩니다. 결정적으로, 이 시스템은 채널의 상태에만 의존하여 이 숫자들을 도출합니다. 즉, 일부 구성원이 오프라인이 되거나 그룹 구성이 바뀌더라도, 남은 구성원들이 이전에 약속된 것과 동일한 서명을 생성할 수 있어 채널을 안전하고 기능적으로 유지할 수 있습니다.

이 개념이 현실 세계에서 작동함을 증명하기 위해, 연구진은 작동하는 프로토타입을 제작하여 결제를 라우팅하는 데 사용되는 소프트웨어인 프로덕션 라이트닝 노드에 통합했습니다. 그들은 다양한 크기의 그룹을 시뮬레이션하고, 서로 다른 수의 결함이 있거나 누락된 구성원을 허용하는 다양한 조건 하에서 시스템을 테스트했습니다. 결과에 따르면, 이 새로운 방식은 결제 과정에 아주 미미한 시간만을 추가합니다. 한 명의 부패한 구성원을 견딜 수 있도록 설계된 그룹의 경우, 결제당 추가되는 시간은 단 3.8밀리초였습니다. 이는 표준 거래에 이미 요구되는 계산 작업의 단 6.7% 증가에 불과합니다. 더 많은 실패를 처리할 수 있도록 설계된 더 큰 그룹의 경우에도, 시스템은 높은 속도를 유지하며 표준적인 수정되지 않은 채널의 결제 처리량의 93% 이상을 유지했습니다. 이는 라이트닝 네트워크의 유용성을 만드는 속도를 희생하지 않고도 오늘날 라이트닝 네트워크에 임계치 커스토디를 추가할 수 있음을 보여줍니다.

이 새로운 시스템의 보안 또한 엄격하게 검증되었습니다. 연구진은 그룹에 정직한 구성원이 과반수 존재하는 한, 공격자가 서명을 위조하거나 자금을 훔치는 것이 수학적으로 불가능하다는 것을 보여주었습니다. 이 증명은 구성원이 오프라인 상태이거나, 메시지가 지연되거나, 그룹이 서명하기 전에 현재의 상태에 합의해야 할 수도 있는 라이트닝 네트워크의 복잡한 현실을 고려합니다. "중첩 임계치 다중 서명(nested threshold multi-signatures)"이라는 새로운 유형의 암호학적 프리미티브를 공식화함으로써, 팀은 그룹이 하나의 안전한 엔티티로서 행동한다는 수학적 보증을 제공했습니다. 이는 기관과 개인들이 이제 일방적으로 이 보호 조치를 배포할 수 있음을 의미합니다. 즉, 타인의 소프트웨어 변경을 요청하거나 네트워크 전체의 업그드를 기다릴 필요 없이 자신의 보안을 업그레이드할 수 있습니다.

이 연구의 함의는 단순히 취약점을 수정하는 것을 넘어, 분산된 시스템에서 디지털 자산을 보호하는 방식에 대한 우리의 생각을 바꿉니다. 수년간 라이트닝 네트워크는 속도와 프라이버시를 얻는 대신 단일하고 취약한 키에 의존해야 한다는 트레이드오프(trade-off)로 여겨졌습니다. 아이스버그는 이 트레이드오프를 제거하여, 대형 기관들이 이미 온체인 자산에 요구하는 수준의 보안과 함께 네트워크가 확장될 수 있도록 합니다. 연구진은 이 시스템이 기존의 하드웨어 및 소프트웨어와 원활하게 작동함을 확인했으며, 이는 더 안전한 모델로의 전환이 즉시 가능하다는 것을 의미합니다. 실세계 노드에 솔루션을 통합하고 성능을 측정함으로써, 그들은 이 개념을 이론적 가능성에서 실질적인 도구로 격상시켰습니다. 연구 결과는 라이트닝 네트워크가 현재 흐르고 있는 수억 달러를 보호할 수 있는 강력한 다자간 커스토디를 지원할 수 있음을 확언합니다.

이 돌파구는 비트코인이나 라이트닝 네트워크의 근본적인 규칙을 변경하는 데 의존하지 않습니다. 대신, 이것은 복잡한 다인 보안 시스템을 네트워크가 기대하는 단순한 단일 인격의 슬롯 안에 맞추는 방식으로 작동합니다. 이는 때때로 가장 효과적인 해결책이 무언가를 처음부터 새로 만드는 것이 아니라, 기존의 구조가 더 많은 무게를 견딜 수 있도록 만드는 방법을 찾는 것임을 상기시켜 줍니다. 연구진은 적절한 수학적 접근법을 사용하면 한 그룹의 수호자들을 단 한 명의 얼굴 뒤에 숨겨, 빛의 속도로 움직이는 디지털 자금이 그것을 사용하는 사람들만큼이나 안전하게 만들 수 있음을 보여주었습니다. 이제 앞길은 명확합니다. 이 자금을 보호할 기술은 존재하며, 남은 유일한 장벽은 그것을 채택하겠다는 결정뿐입니다.

기술 요약: 중첩된 임계값 다중 서명을 통한 라이트닝 네트워크의 임계값 커스토디 활성화

1. 문제 정의

비트코인 라이트닝 네트워크는 수억 달러의 가치를 보호하고 있지만, 그 보안 모델은 각 채널 엔드포인트가 단일 온라인 키에 의해 제어된다는 취약한 기반에 의존하고 있습니다. 이는 탈취(도난)와 손실(접근 불가능) 모두에 취약한 단일 장애점(single point of failure)을 생성합니다. 임계값 커스토디(t-of-n 서명)는 온체인 비트코인 자산에 대해 이러한 위험을 완화하기 위한 표준 관행이지만, 라이트닝 채널에는 실질적으로 배포할 수 없었습니다.

핵심적인 기술적 장애물은 라이트닝 프로토콜의 구조, 특히 BIP 327에서 표준화된 MuSig2 다중 서명 스킴에 대한 의존성입니다. 라이트닝 채널에서 두 당사자(앨리스와 밥)는 집합 키(aggregate key) 하에 자금을 잠급니다. 잔액을 업데이트하거나 채널을 닫으려면 이들은 엄격한 2라운드 프로토콜에 따라 논스(nonce)와 부분 서명을 교환해야 합니다.

논스 제약 조건: MuSig2는 메시지(서명할 트랜잭션)를 알기 전인 첫 번째 라운드에서 세션 논스가 고정되어야 합니다.
임계값 충돌: 만약 한 당사자(예: 앨리스)가 임계값 그룹이라면, 첫 번째 라운드(논스 생성)와 두 번째 라운드(서명 생성) 사이에 온라인 서명자 집합이 변경될 수 있습니다. 표준 임계값 서명 스킴(FROST와 같은)은 집합 논스를 해당 라운드에 참여하는 특정 서명자 집합에 결합합니다. 만약 쿼럼(quorum)이 변경되면, 재구성된 논스는 앨리스가 첫 번째 라운드에서 밥에게 약속했던 것과 달라져 프로토콜을 깨뜨리게 됩니다.
무상태성 vs 안전성: 메시지로부터 결정론적으로 논스를 유도하는 무상태(stateless) 임계값 서명은 사용할 수 없습니다. 왜냐matrix 메시지를 첫 번째 라운드에서는 알 수 없기 때문입니다. 또한, 라이트닝 내의 완전한 무상태 서명자는 이전 채널 상태를 서명하게 되어 네트워크의 패널티 메커니즘(자금 몰수)을 트리거할 수 있어 위험합니다.

결과적으로, 커뮤니티는 프로토콜, 카운터파티, 또는 블록체인을 변경하지 않고 기존 MuSig2 세션 내에 임계값 그룹을 "중첩(nesting)"할 수 있는 방법을 갖지 못했습니다.

2. 방법론 및 설계

저자들은 중첩된 임계값 MuSig2 서명을 위한 최초의 구조인 Iceberg를 제안합니다. Iceberg는 t-of-n 그룹이 기존 MuSig2 프로토콜 내에서 단일 서명자 슬롯을 차지할 수 있게 하며, 카운터파티와 블록체인에는 표준 단일 키 참여자와 구별되지 않도록 보이게 합니다.

해결책은 라이트닝 환경의 제약 조건을 충족하기 위해 세 가지 핵심 설계 결정에 의존합니다:

복제 비밀 공유 (Replicated Secret Sharing, RSS): 어떤 서명자 부분 집합이 온라인 상태인지와 관계없이 논스가 일관되게 유지되도록, Iceberg는 표준 샤미르 비밀 공유 대신 복제 비밀 공유를 사용합니다. 비밀 키는 모든 $t-1$ 멤버의 부분 집합에 대한 쉐어로 나뉩니다. 각 멤버는 자신이 속하지 않은 부분 집합에 해당하는 쉐어를 보유합니다. 이를 통해 적격한 쿼럼( $2t-1$ 명의 멤버)은 첫 번째 라운드 동안 오프라인이었던 멤버들과 통신할 필요 없이 동일한 결정론적 논스 쉐어를 재구성할 수 있습니다.
고유 사전 메시지 논스 (Unique Pre-Message Nonces): 메시지를 알기 전에 논스가 고정되어야 하므로, Iceberg는 메시지 자체가 아니라 세션 식별자(채널의 커밋먼트 번호를 포함)로부터 결정론적으로 논스를 유도합니다. 이는 논스가 첫 번째 라운드에서 고정되도록 보장하면서도, 각 채널 상태 업데이트마다 고유하게 만들어 서로 다른 메시지에 동일한 논스가 재사용되어 발생할 수 있는 키 누출을 방지합니다.
라이브 상태에 대한 합의: 동일한 세션 식별자 하에서 두 개의 서로 다른 메시지에 서명하여 키가 누출되는 보안 위험을 방지하기 위해, 프로토콜은 현재 커밋먼트 번호에 대한 합의라는 기존 라이트닝 채널의 요구 사항에 의존합니다. 임계값 그룹은 서명하기 전에 라이브 상태에 대해 합의해야 하며, 이를 통해 정직한 슈퍼마조리티( $n \ge 3t-2$ )가 부패한 소수가 동일한 상태에 대해 두 번째 서명을 강제하는 것을 방지합니다.

프로토콜 흐름:

KeyGen: 그룹은 RSS를 사용하여 공유 비밀 키를 생성합니다. 집합 공개 키는 펀딩 출력의 그룹 슬롯을 차지합니다.
PreRound (오프라인): 메시지가 존재하기 전에, 그룹은 세션 식별자를 기반으로 논스 쉐어를 계산합니다. 이들은 하나의 그룹 논스 $R_A$ 로 집계되어 카운터파티에게 전송됩니다.
SignRound (온라인): 메시지와 카운터파티의 논스가 알려지면, 온라인 쿼럼은 자신의 키 쉐어와 논스 쉐어를 사용하여 부분 서명을 계산합니다. 이들은 하나의 부분 서명 $s_A$ 로 집계됩니다.
결과: 카운터파티는 $s_A$ 와 자신의 $s_B$ 를 결합하여 유효한 MuSig2 서명을 형성합니다. 블록체인은 집합 키 아래의 표준 슈노르(Schnorr) 서명만을 보게 됩니다.

3. 주요 기여

중첩된 임계값 다중 서명의 공식화: 본 논문은 외부 프로토콜의 메시지 흐름이나 논스 교환을 변경하지 않고 기존 다중 서명 프로토콜 내의 한 참여자를 임계값화하도록 설계된 새로운 암호학적 프리미티브를 도입합니다.
Iceberg 구조: 중첩된 임계값 MuSig2의 구체적이고 증명 가능한 보안 구현체인 Iceberg를 제시합니다. 이는 엄격한 논스 요구 사항을 유지하면서도 동적 쿼럼(라운드 사이에 서명 집합이 변경될 수 있는 경우)을 지원하는 최초의 스킴입니다.
보안 증명: 저자들은 TS-MS-EUF-CMA 보안 모델 하에서 Iceberg의 위조 불가능성을 증명합니다. 이 증명은 Iceberg의 보안을 기초가 되는 NestedMuSig2 스킴의 보안으로 환원하며, 공격자가 최대 $t-1$ 명의 멤버를 침해하고 외부 공동 서명자를 제어하더라도 위조 불가능성이 유지됨을 입증합니다.
프로덕션 통합: Iceberg는 프로덕션 급 라이트닝 노드 구현인 eclair에 통합되었습니다. 이 통합 과정에서 채널 로직, 메시지 흐름 또는 카운터파티의 소프트웨어 변경은 전혀 필요하지 않았습니다.

4. 결과 및 성능

저자들은 secp256k1 커브와 eclair 노드를 사용하여 프로덕션 환경에서 Iceberg를 벤치마킹했습니다.

오버헤드: 채널을 임계값화하는 데 발생하는 계산 오버헤드는 미미합니다.
- 1개의 결함을 허용하는 2-of-4 구성의 경우, 결제당 추가되는 총 비용은 3.8 ms(구체적으로 3,844 µs)이며, 이는 이미 결제가 소요하는 전체 작업량의 **6.7%**를 나타냅니다.
- 2개의 결함을 허용하는 3-of-7 구성의 경우, 총 추가 비용은 8.2 ms(구체적으로 8,246 µs)이며, 이는 약 **14.3%**의 결제 작업량을 나타냅니다.
처리량: 임계값화된 엔드포인트는 높은 처리량을 유지합니다. 2-of-4 그룹은 수정되지 않은 엔드포인트의 결제 처리량의 93% 이상을 유지합니다(단일 코어 기준 초당 약 16.3회 결제 vs 단일 키의 17.4회).
확장성: 비용 증가는 그룹의 전체 크기( $n$ )보다는 주로 결함 허용 임계값( $t$ )에 의해 결정됩니다(단, $n$ 이 실용적인 범위 내에 있는 경우).
호환성: 프로토타입은 기존 eclair 채널 테스트를 성공적으로 통과했으며, 서명 쿼럼이 라운드 사이에 변경되더라도 그룹이 논스를 절대 변경하지 않음을 검증하여 라이트닝 프로토콜의 엄격한 제약 조건을 충족했습니다.

5. 의의 및 주장

본 논문은 Iceberg가 오늘날 라이트닝 네트워크에 임계값 커스토디를 단독으로 배포할 수 있게 한다고 주장합니다.

프로토콜 변경 없음: 비트코인 스크립트나 라이트닝 프로토콜 자체의 변경을 요구했던 이전 제안들과 달리, Iceberg는 기존 BIP 327 MuSig2 사양 내에서 작동합니다.
카운터파티 변경 없음: 카운터파티(밥)와 블록체인은 오직 표준 단일 키 MuSig2 참여자만을 보게 됩니다. 상대측의 조정이나 소프트웨어 업데이트가 필요하지 않습니다.
실용성: 성능 오버헤드가 충분히 낮기 때문에 기관과 사용자는 라이트닝 네트워크의 속도나 용량을 희생하지 않고 즉시 임계값 커스토디를 채택할 수 있습니다.

저자들은 Iceberg가 라이트닝 채널을 임계값화하는 것이 프로토콜의 효율성이나 보안 보장을 해치지 않고 가능하다는 것을 보여줌으로써, 비트코인 커뮤니티의 오랜 난제를 해결했다고 결론짓습니다. 또한 집합 키가 일정하다면 채널이 열려 있는 동안 선제적으로 쉐어를 갱신하거나 멤버십을 변경하는 방향의 향후 연구 가능성을 언급했습니다.